OpenCyber Academy
Técnico · Capítulo 8 · Português
Código do curso: OCA-048Capítulo 08: OCA-048-C008

Capítulo 8 — Identificando o phishing

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX029.

flowchart TD
  N0["8.1 Sinais de phishing"]
  N1["8.2 O laboratório do phishing"]
  N2["Laboratório — Pontuando e-mails sintéticos com quatr"]
  N3["8.3 Por que as regras falham"]
  N4["8.4 O que a equipe deve fazer"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX029"]

Desenho lógico

flowchart LR
  N0["8.1 Sinais de phishing"]
  N1["8.2 O laboratório do phishing"]
  N2["Laboratório — Pontuando e-mails sintéticos com quatr"]
  N3["8.3 Por que as regras falham"]
  N4["8.4 O que a equipe deve fazer"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX029"]

[8.1 Sinais de phishing]
    |
    v
[8.2 O laboratório do phishing]
    |
    v
[Laboratório — Pontuando e-mails sintéticos com quatr]
    |
    v
[8.3 Por que as regras falham]
    |
    v
[8.4 O que a equipe deve fazer]
    |
    v
[Exemplo resolvido] --> [Exercício EX029]

Objetivos de aprendizagem

Você vai (1) reconhecer os sinais comuns de phishing; (2) testar uma regra simples de pontuação; (3) explicar por que as regras deixam passar algumas mensagens.

8.1 Sinais de phishing

Os e-mails de phishing tentam induzir as pessoas a clicar num link nocivo, abrir um anexo ou entregar informações. Chloe aprende quatro sinais comuns: o endereço do remetente não corresponde à organização que ele alega ser, a mensagem usa palavras urgentes, como imediatamente ou conta suspensa, o endereço real de um link difere do texto mostrado e há um anexo inesperado. O Sr. Appiah avisa que os atacantes cuidadosos evitam alguns desses sinais, por isso nenhum deles é garantia. Ela escreve os quatro sinais num cartão.

8.2 O laboratório do phishing

O laboratório pontua 40 e-mails sintéticos, 12 sabidamente de phishing e 28 genuínos, contando quantos dos quatro sinais cada um mostra. As mensagens com dois ou mais sinais são sinalizadas. A regra pega 11 dos 12 e-mails de phishing e deixa passar um. Ela também sinaliza 3 e-mails genuínos como alarmes falsos. Chloe examina a mensagem que passou e descobre que ela mostrava apenas um sinal, um endereço de remetente que não correspondia, sem palavras urgentes, link estranho ou anexo. Ela mostra o resultado ao Sr. Appiah, que observa que uma regra que olha apenas quatro sinais sempre vai deixar passar algumas mensagens, porque os atacantes podem mudar seus métodos para evitá-los.

Laboratório — Pontuando e-mails sintéticos com quatro sinais de phishing e comparando com rótulos conhecidos

"""Score synthetic emails with four simple phishing indicators and compare with known labels (stdlib only)."""
import random
random.seed(3)
msgs = []
for i in range(40):
    phish = i < 12
    f = {
        "sender_mismatch": random.random() < (0.75 if phish else 0.05),
        "urgent_words": random.random() < (0.8 if phish else 0.15),
        "link_mismatch": random.random() < (0.7 if phish else 0.03),
        "unexpected_attachment": random.random() < (0.4 if phish else 0.1),
    }
    msgs.append((phish, sum(f.values()), [k for k, v in f.items() if v]))
tp = sum(p and s >= 2 for p, s, _ in msgs); fn = sum(p and s < 2 for p, s, _ in msgs)
fp = sum((not p) and s >= 2 for p, s, _ in msgs); tn = sum((not p) and s < 2 for p, s, _ in msgs)
print(f"messages {len(msgs)}; phishing {tp+fn}; genuine {fp+tn}")
print(f"flagged (score >= 2): caught {tp}, missed {fn}, false alarms {fp}")
print("signs on missed phishing:", [k for p, s, k in msgs if p and s < 2])

Execute com python3 lab_phish.py. Saída verificada:

messages 40; phishing 12; genuine 28
flagged (score >= 2): caught 11, missed 1, false alarms 3
signs on missed phishing: [['sender_mismatch']]

8.3 Por que as regras falham

Chloe aprende que qualquer regra simples comete dois tipos de erro. Ela deixa passar parte do phishing e sinaliza algumas mensagens genuínas. Baixar o limiar para um sinal pegaria mais phishing, mas criaria muito mais alarmes falsos, como e-mails genuínos de fornecedores marcados como urgentes. Subi-lo deixaria passar mais phishing. O Sr. Appiah explica que as regras ajudam as pessoas a concentrar a atenção, mas o julgamento da equipe e um meio de comunicar as dúvidas continuam necessários. Ela testa no papel o limiar de um sinal com as mesmas mensagens e vê os alarmes falsos subirem, o que a ajuda a entender esse equilíbrio.

8.4 O que a equipe deve fazer

Chloe escreve uma orientação simples para a equipe da Westfield: se um e-mail mostrar qualquer um dos quatro sinais, não clique; confirme entrando em contato com o remetente por outro meio; e comunique-o ao Sr. Doyle pelo botão de comunicação do programa de e-mail. Ela também explica que comunicar um e-mail genuíno por engano não tem problema. O Sr. Doyle prefere dez comunicações desnecessárias a um e-mail de phishing que passe. A equipe reage bem à mensagem clara e sem culpa. Ela imprime a orientação num pequeno cartão para cada caixa e cada mesa de escritório. O Sr. Doyle recebe mais comunicações no mês seguinte.

Exemplo resolvido

Chloe aprende quatro sinais de phishing, descobre que uma regra de dois sinais pega 11 de 12 e-mails sintéticos de phishing com 3 alarmes falsos e escreve uma orientação sem culpa para a equipe.

Caso sintético. Os e-mails são sintéticos; as saídas vêm de lab_phish.py.

Erros e limites

Tratar uma regra simples como perfeita leva as pessoas a confiar nas mensagens que ela deixa passar.

Exercícios

Respostas comentadas

EX029. 11 dos 12 e-mails de phishing.

EX030. Três e-mails genuínos.

EX031. Mostrava apenas um sinal, um endereço de remetente que não correspondia.

EX032. Mais phishing é pego, mas os alarmes falsos sobem muito.